ios - 隐式信任 iOS 应用程序中私有(private) API 的 SSL 证书

Question

我正在开发一个带有 Rails 后端的 iOS 应用程序，在 VPS 上运行(通过我自己的域)。

我的问题是:考虑到这是一个只能访问的私有(private) API，在我的服务器上使用自签名 SSL 证书并在与其通信时忽略来自 NSURLConnection 的警告是否不安全通过我的 iOS 应用？

Answer 1

在这种情况下，安全的做法是:自己签名并手动将证书添加到您工作的每个系统的本地证书数据库中，这样您就不需要身份验证就知道它是您的。有时这可以自动完成，就像在您第一次从每个系统连接时选中“忽略此证书的警告”框一样容易，这将防止您在该系统上再次看到它，除非证书发生变化。

这样您就不会再看到警告，除非您正在查看的是其他人的 self 证明。

默认情况下忽略警告通常意味着如果其他人签署了自己的证书并将其出示给您，您将在没有注意到的情况下继续进行。这不是个好主意。